Traduit de l’anglais par TechUpscale à l’aide de l’IA et vérifié par rapport à l’original. Lire l’original en anglais
La National Vulnerability Database (NVD) a publié 8 CVE classées Critique selon le standard CVSS v3 au cours des 26 heures précédant ce rapport. Les descriptions ci-dessous sont directement issues de la NVD. Les scores indiqués sont les scores de base de la NVD ou des CNA ; confirmez systématiquement avec l’avis de l’éditeur avant d’établir vos priorités.
CVE critiques (NVD)
| CVE | CVSS | Description (NVD) |
|---|---|---|
| CVE-2026-97785 | 10 | Une authentification incorrecte dans AAD App Proxy permet à un attaquant non autorisé d’élever ses privilèges à travers le réseau. |
| CVE-2026-83938 | 10 | L’absence d’authentification pour une fonction critique dans Azure Kubernetes Configuration Service permet à un attaquant non autorisé d’élever ses privilèges à travers le réseau. |
| CVE-2026-110063 | 10 | Une résolution de lien incorrecte avant l’accès aux fichiers ('link following') dans VM Inspector for Azure Virtual Machines permet à un attaquant non autorisé d’élever ses privilèges à travers le réseau. |
| CVE-2026-115384 | 9.9 | Wasmtime 39.0.0 avant 48.0.4 et 49.0.0 avant 49.0.2 contient une vulnérabilité de dépassement de tampon sur la pile qui permet à des invités malveillants d’écrire environ 16 Ko sur la pile native via des types de résultats de rappel asynchrone non validés. Les attaquants peuvent fournir des composants dotés de fonctions de rappel asynchrones du modèle de composant mal typées pour écraser des adresses de retour, provoquant le plantage de l’hôte ou l’évasion du bac à sable. |
| CVE-2026-115375 | 9.9 | Incus 7.0.0 avant 7.0.2 et 7.1.0 avant 7.5.0 contient une vulnérabilité de traversée de répertoires permettant aux clients en mesure de créer des instances d’écrire des fichiers sur l’hôte. La faille provient de noms de volumes personnalisés dépendants non validés dans les fichiers index.yaml de sauvegarde d’instance. Les attaquants peuvent importer une sauvegarde d’instance conçue à cet effet avec des séquences ../ dans les noms de volumes dépendants pour créer des répertoires appartenant à root avec un contenu sous leur contrôle, menant à… |
| CVE-2026-115377 | 9.9 | Incus avant 6.0.7, 6.1.0 avant 7.0.2 et 7.1.0 avant 7.5.0 contient une vulnérabilité d’écriture arbitraire de fichiers permettant à des sources de migration malveillantes d’écrire des fichiers sur l’hôte en plaçant des liens symboliques dans les volumes transférés. Les attaquants peuvent créer des flux de réception rsync ou btrfs contenant un lien symbolique tel que rootfs pointant vers la racine de l’hôte, écrivant des fichiers en tant que root pour compromettre totalement l’hôte. |
| CVE-2022-51026 | 9.8 | Bytebase 0.12.0 avant 1.0.1 contient une vulnérabilité de contournement de l’authentification permettant à des attaquants non authentifiés de se connecter sous l’identité de n’importe quel utilisateur. La faille provient de la confiance accordée à la configuration du fournisseur GitLab fournie par le client dans le point de terminaison POST /api/auth/login/GITLAB_SELF_HOST. Les attaquants peuvent attribuer à instanceUrl un serveur sous leur contrôle qui renvoie un utilisateur actif avec un e-mail de leur choix. Bytebase émet ensuite des jetons de session pour ce pr… |
| CVE-2026-105014 | 9.1 | Une neutralisation incorrecte d’éléments spéciaux utilisés dans une commande ('command injection') dans Azure Pipelines permet à un attaquant non autorisé d’exécuter du code à travers le réseau. |
Nouveaux avis des CERT et des éditeurs
Debian
- DSA-6579-1 roundcube – mise à jour de sécurité
- DSA-6580-1 erlang – mise à jour de sécurité
- DSA-6578-1 aide – mise à jour de sécurité
- DSA-6577-1 chromium – mise à jour de sécurité
- DSA-6534-3 webkit2gtk – mise à jour de régression
Canonical (Ubuntu)
- USN-8954-1 : vulnérabilité dans zlib
- USN-8953-1 : vulnérabilité dans OpenVPN
- USN-8952-1 : vulnérabilités dans Tornado
Canadian Centre for Cyber Security [Centre canadien pour la cybersécurité]
- Avis de sécurité Splunk (AV26-1077)
- Avis de sécurité Atlassian (AV26-1076)
- Avis de sécurité Roundcube (AV26-1075)
- Avis de sécurité GitLab (AV26-1074)
CISA
Microsoft MSRC
- CVE-2026-83938 Vulnérabilité d’élévation de privilèges dans Azure Kubernetes Configuration Service
- CVE-2026-96185 Vulnérabilité d’exécution de code à distance dans Microsoft Exchange Online
- CVE-2026-110063 Vulnérabilité d’élévation de privilèges dans VM Inspector for Azure Virtual Machines
- CVE-2026-97785 Vulnérabilité d’élévation de privilèges dans AAD App Proxy
- CVE-2026-105014 Vulnérabilité d’exécution de code à distance dans Azure Pipelines
- CVE-2026-108456 Vulnérabilité d’élévation de privilèges dans Azure AI Foundry
- CVE-2026-96251 Vulnérabilité d’exécution de code à distance dans Microsoft PowerShell
- CVE-2026-96303 Vulnérabilité de contournement de fonctionnalité de sécurité dans Microsoft PowerShell
CERT-FR
- Multiples vulnérabilités dans GitLab (22 octobre 2026)
- Multiples vulnérabilités dans Node (22 octobre 2026)
- Multiples vulnérabilités dans les produits Splunk (22 octobre 2026)
- Multiples vulnérabilités dans les produits Cisco (22 octobre 2026)
- Vulnérabilité dans les produits Mozilla (22 octobre 2026)
- Multiples vulnérabilités dans ISC BIND (22 octobre 2026)
- Multiples vulnérabilités dans les produits SolarWinds (22 octobre 2026)
- Multiples vulnérabilités dans Oracle Database Server (21 octobre 2026)
- Multiples vulnérabilités dans Oracle MySQL (21 octobre 2026)
- Multiples vulnérabilités dans Oracle PeopleSoft (21 octobre 2026)
- Multiples vulnérabilités dans Oracle Java SE (21 octobre 2026)
- Multiples vulnérabilités dans Oracle Systems (21 octobre 2026)
- Multiples vulnérabilités dans Oracle Virtualization (21 octobre 2026)